®01
Conduite des réseaux et installations selon IEC 62443
Modèle de zones avec évaluation des risques et niveau de sécurité par zone
En savoir plusSecteurs / Secteur de l'énergie
Réseaux sécurisés. Approvisionnement robuste.
Protéger la conduite des réseaux et intégrer en toute sécurité les passerelles de compteurs intelligents.
Conseil. Intégration. Exploitation.
Pour les professionnels de votre secteur.
- Gestionnaires de réseaux de distribution et de transport
- Régies municipales et gestionnaires de points de comptage
- Producteurs et commercialisateurs directs
- Gestionnaires de réseaux de gaz et de chaleur urbaine
Vos priorités
Comprendre les enjeux. Concevoir des solutions.
Nous protégeons la conduite des réseaux, les installations de production et les systèmes de comptage intelligents grâce à une architecture de sécurité selon IEC 62443, à des modules de sécurité matériels et à une PKI pour les passerelles de compteurs intelligents, ainsi qu'à des interfaces contrôlées entre la salle de contrôle et l'informatique de l'entreprise.
02
Preuves KRITIS, SMSI selon ISO 27019 et détection des attaques
Documentation SMSI avec analyse des risques et plan d'actions
En savoir plus03
Prévision de la charge et de la production avec des plateformes de données
Plateforme de données reliée au système de conduite, aux systèmes de comptage et aux données météo
En savoir plusDe la stratégie au système
Six briques de services
Six domaines d'action. Choisissez celui que vous souhaitez approfondir.
01Conduite des réseaux et installations selon IEC 62443IEC 62443 · IEC 62351 · IEC 60870-5-104
Notre approche
Les systèmes de conduite et le télécontrôle ont été construits pour des réseaux cloisonnés et sont aujourd'hui reliés à l'informatique de bureau, aux prestataires et aux installations décentralisées. Nous recensons les installations et les liaisons, répartissons le centre de conduite, les postes électriques et l'informatique de l'entreprise en zones selon IEC 62443-3-2, et définissons pour chaque zone un niveau de sécurité et les conduits autorisés. Nous mettons en œuvre le durcissement, la segmentation et la sécurisation des protocoles selon IEC 62351 pendant des fenêtres de maintenance, sans toucher à la configuration validée de l'installation. La détection des attaques lit aussi IEC 60870-5-104 et IEC 61850, afin de distinguer une erreur de manipulation d'une attaque dans le contrôle-commande.
Étendue des prestations en détail
- Inventaire des actifs du contrôle-commande et modèle de zones selon IEC 62443-3-2, avec niveau de sécurité et évaluation des risques par zone
- Segmentation entre le réseau de procédé, le centre de conduite et l'informatique de l'entreprise, avec conduits, DMZ et pare-feu industriel
- Durcissement du système de conduite, des IHM, des équipements de télécontrôle et des postes d'ingénierie selon IEC 62443-3-3 et le compendium de sécurité ICS du BSI
- Sécurisation d'IEC 60870-5-104 et d'IEC 61850 selon IEC 62351, avec TLS, certificats et accès basé sur les rôles
- Détection des attaques pour les protocoles de contrôle-commande par surveillance passive du réseau, reliée au SIEM et au processus de notification
Un gestionnaire de réseau de distribution sépare le centre de conduite, les postes électriques et l'informatique de bureau en zones selon IEC 62443 ; les liaisons de télécontrôle passent par des conduits sécurisés, et la détection des attaques lit aussi les protocoles de contrôle-commande.
Ce que vous obtenez
- Modèle de zones avec évaluation des risques et niveau de sécurité par zone
- Contrôle-commande segmenté et durci, avec preuve d'audit
- Manuel d'exploitation pour les correctifs et les modifications en fenêtre de maintenance
02PKI des passerelles de compteurs intelligents et HSM selon BSI TR-03109BSI TR-03109 · PKI de comptage intelligent · Utimaco u.trust GP HSM Se-Series
Notre approche
Les systèmes de comptage intelligents ne communiquent que par TLS avec des certificats de la PKI de comptage intelligent, dont la structure est fixée par la directive technique BSI TR-03109. Nous planifions des AC subordonnées pour l'administration de la passerelle et les acteurs du marché, choisissons en toute indépendance vis-à-vis des fabricants entre Utimaco u.trust GP HSM, Thales Luna 7 et Entrust nShield 5c, et menons des cérémonies des clés avec rôles, quorums et procès-verbal. Les certificats des passerelles, des boîtiers de commande et du canal CLS selon l'article 14a de l'EnWG reçoivent un cycle de vie avec renouvellement, révocation et surveillance. Les preuves pour la certification SMSI de l'administrateur de la passerelle sont produites dans le même projet.
Étendue des prestations en détail
- Architecture PKI avec AC subordonnée selon BSI TR-03109-4, profils de certificats et enregistrement sous la racine de la PKI de comptage intelligent
- Sélection et intégration du HSM pour les clés de l'AC subordonnée, cérémonies des clés avec rôles, quorums, témoins et modèles de procès-verbal
- Raccordement de l'administration de la passerelle et des acteurs externes du marché par TLS avec des certificats de la PKI
- Cycle de vie des certificats avec renouvellement, révocation et surveillance pour les passerelles, les boîtiers de commande et le canal CLS selon l'article 14a de l'EnWG
- Preuves pour la certification SMSI de l'administrateur de la passerelle selon ISO 27001 et BSI TR-03109-6
Un gestionnaire de points de comptage rapatrie en interne l'AC subordonnée de ses passerelles de compteurs intelligents, jusque-là chez un prestataire ; les clés sont générées lors d'une cérémonie journalisée dans le HSM, et l'administration de la passerelle ainsi que les acteurs du marché reçoivent des certificats issus de sa propre PKI.
Ce que vous obtenez
- Concept PKI avec profils de certificats selon BSI TR-03109-4
- AC subordonnée sécurisée par HSM avec cérémonies des clés journalisées
- Manuel d'exploitation pour le cycle de vie des certificats et la révocation
03Preuves KRITIS, SMSI selon ISO 27019 et détection des attaquesISO 27019 · Catalogue de sécurité informatique selon l'article 11 de l'EnWG · Microsoft Sentinel
Notre approche
Les gestionnaires de réseau ont besoin d'un SMSI certifié selon le catalogue de sécurité informatique prévu par l'article 11 de l'EnWG, et les opérateurs KRITIS ont en plus besoin de systèmes de détection des attaques et de preuves régulières auprès du BSI. NIS2 étend l'obligation d'enregistrement, la gestion des risques et les obligations de notification à d'autres entreprises du secteur de l'énergie. Nous construisons le SMSI selon ISO 27001 avec les compléments de l'ISO 27019 pour la conduite de procédé, ou étendons son périmètre à la conduite du réseau. Nous mettons en place la détection des attaques selon le guide d'orientation du BSI, avec journalisation, détection et réaction pour l'informatique et le contrôle-commande. Les processus de notification au BSI et à l'Agence fédérale des réseaux sont exercés avec des modèles et des délais avant l'audit.
Étendue des prestations en détail
- Analyse des écarts par rapport au catalogue de sécurité informatique selon l'article 11 de l'EnWG, à l'ISO 27001 et à l'ISO 27019, périmètre conduite du réseau inclus
- Mise en place ou extension du SMSI avec plan de structure du réseau, analyse des risques, plan d'actions et préparation à la certification
- Système de détection des attaques conforme au guide d'orientation du BSI, avec journalisation, détection et réaction pour l'informatique et le contrôle-commande
- Processus de notification pour le BSI et l'Agence fédérale des réseaux, avec les niveaux et délais de la loi BSI et de NIS2, exercices journalisés
- Documents d'audit avec le degré de mise en œuvre de la détection des attaques et accompagnement de l'audit KRITIS
Une régie municipale réunit l'informatique et le contrôle-commande dans un SMSI selon ISO 27019 et démontre le degré de mise en œuvre de sa détection des attaques avant le prochain audit KRITIS.
Ce que vous obtenez
- Documentation SMSI avec analyse des risques et plan d'actions
- Détection des attaques en exploitation, avec preuve du degré de mise en œuvre
- Processus de notification avec modèles et procès-verbal d'exercice
04Télémaintenance et raccordement des installations décentraliséesIEC 60870-5-104 · IEC 61850 · OPC UA
Notre approche
Le photovoltaïque, les parcs éoliens, le stockage et les unités de cogénération fournissent des mesures et reçoivent des commandes, souvent via des réseaux publics et des composants de nombreux fabricants. Nous raccordons ces installations au système de conduite, aux commercialisateurs directs et à Redispatch 2.0 via IEC 60870-5-104, IEC 61850, Modbus TCP et OPC UA, avec des diodes de données et des passerelles de protocole sur les conduits entre zones. La télémaintenance par les fabricants et prestataires passe par un accès central avec serveur de rebond, authentification multifacteur, autorisation limitée dans le temps et enregistrement de session. Les équipements en périphérie des postes électriques et des parcs reçoivent des systèmes d'exploitation durcis, des certificats et une mise à jour à distance avec micrologiciel signé.
Étendue des prestations en détail
- Catalogue d'interfaces pour les installations de production, le stockage et les boîtiers de commande, avec IEC 60870-5-104, IEC 61850, Modbus TCP et OPC UA
- Accès de télémaintenance avec serveur de rebond, authentification multifacteur, enregistrement de session et autorisations limitées dans le temps par prestataire
- Diodes de données et passerelles de protocole pour les conduits entre le réseau de procédé, le centre de conduite et l'informatique de l'entreprise, avec OPSWAT MetaDefender NetWall
- Équipements en périphérie dans les postes électriques et les parcs, avec système d'exploitation durci, certificats et mise à jour à distance signée
- Raccordement au système de conduite, aux commercialisateurs directs et à Redispatch 2.0, avec test et journal par interface
Un exploitant de parcs éoliens remplace les accès des fabricants par modem par un accès de télémaintenance centralisé avec serveur de rebond ; chaque session est associée à un prestataire, limitée dans le temps et enregistrée.
Ce que vous obtenez
- Catalogue d'interfaces avec contrats de données par installation
- Concept de télémaintenance avec rôles, autorisations et journal de session
- Conduits testés avec diodes de données et passerelles de protocole
05Prévision de la charge et de la production avec des plateformes de donnéesApache Kafka · Apache Spark · TimescaleDB
Notre approche
L'injection issue du photovoltaïque et de l'éolien, des pompes à chaleur et des infrastructures de recharge rend la charge et la production plus difficiles à planifier, et les écarts coûtent de l'énergie d'ajustement et du redispatching. Nous construisons des plateformes de données qui réunissent l'historique du système de conduite, les mesures des passerelles de compteurs intelligents, les données météo du service météorologique allemand et les données de marché, et nous y entraînons des modèles de prévision avec bandes d'incertitude par zone de réseau et poste de distribution locale. Les modèles fonctionnent en dehors du contrôle-commande, et leurs prévisions parviennent à la conduite du réseau, à la gestion du périmètre d'équilibre et au négoce sous forme de proposition. Le versionnage, la surveillance de la qualité des prévisions, le réentraînement et la classification selon l'AI Act européen font partie de l'exploitation.
Étendue des prestations en détail
- Plateforme de données reliée à l'historique du système de conduite, à l'administration de la passerelle, aux données météo du service météorologique allemand et aux données de marché
- Modèles de prévision pour la charge, le photovoltaïque et l'éolien, avec bandes d'incertitude pour le périmètre d'équilibre, le redispatching et le négoce
- Estimation de l'état du réseau et prévision de congestion par zone de réseau, à partir des mesures et prévisions, pour la conduite du réseau
- Exploitation des modèles avec versionnage, surveillance de la qualité des prévisions, réentraînement et classification selon l'AI Act européen
- Concept de protection des données pour les mesures des passerelles de compteurs intelligents, avec pseudonymisation selon le RGPD et la loi sur l'exploitation des points de comptage
Un gestionnaire de réseau de distribution prévoit l'injection photovoltaïque par poste de distribution locale à partir des données météo et de mesure ; la conduite du réseau voit les congestions la veille au lieu de les découvrir lors d'un incident.
Ce que vous obtenez
- Plateforme de données reliée au système de conduite, aux systèmes de comptage et aux données météo
- Modèles de prévision versionnés avec rapport de qualité et fiche de modèle
- Manuel d'exploitation pour la gestion des modèles et le réentraînement
06Préparation post-quantique pour les installations à longue durée de vieML-KEM (FIPS 203) · ML-DSA (FIPS 204) · LMS et XMSS
Notre approche
Des ordinateurs quantiques suffisamment puissants briseront RSA et les courbes elliptiques, sur lesquels reposent aujourd'hui les liaisons de télécontrôle, les signatures de micrologiciel et la PKI de comptage intelligent, et les équipements de télécontrôle, les passerelles et les équipements des postes électriques restent en service bien plus longtemps que l'informatique de bureau. Nous inventorions les procédés cryptographiques, les clés et les certificats à travers le contrôle-commande, la PKI et les installations, les évaluons selon la durée de vie des appareils et planifions par étapes le passage à ML-KEM et ML-DSA. Les signatures de micrologiciel passent d'abord à des procédés basés sur le hachage comme LMS et XMSS, le micrologiciel des HSM et la PKI suivent avec des certificats hybrides conformes à BSI TR-02102. La feuille de route relie chaque étape aux cycles de déploiement et de renouvellement du réseau.
Étendue des prestations en détail
- Inventaire cryptographique couvrant le contrôle-commande, les liaisons de télécontrôle, la PKI de comptage intelligent, les signatures de micrologiciel et les points de terminaison TLS, avec évaluation selon la durée de vie
- Vérification des HSM et du logiciel PKI pour ML-KEM, ML-DSA et les signatures basées sur le hachage selon LMS et XMSS pour le micrologiciel
- Crypto-agilité dans la gestion des certificats et les passerelles de protocole, afin que les procédés puissent être changés sans remplacement des équipements sur le terrain
- Certificats hybrides et plan de migration pour l'AC racine et l'AC subordonnée, conformes à BSI TR-02102
- Feuille de route par étapes, liée aux cycles de déploiement des passerelles, des boîtiers de commande et des équipements de télécontrôle
Un gestionnaire de réseau de gaz inventorie la cryptographie de son télécontrôle et de sa PKI ; les signatures de micrologiciel passent d'abord à des procédés basés sur le hachage, l'AC subordonnée suit avec des certificats hybrides au prochain renouvellement d'équipement.
Ce que vous obtenez
- Inventaire cryptographique avec évaluation des risques selon la durée de vie des installations
- Feuille de route de migration pour la PKI, les HSM et les équipements sur le terrain
- Concept de crypto-agilité pour la gestion des certificats et les passerelles
Situations de projet typiques
Là où le changement devient concret.
Un projet commence souvent par un défi concret. Ces exemples associent une situation de départ typique à une approche possible et au résultat visé.
Situations de départ données à titre d'exemple, et non des références clients.
01 / Secteur de l'énergie
Modèle de zones chez un gestionnaire de réseau de distribution
Centre de conduite, postes électriques et informatique de bureau sur un même réseau, règles de pare-feu datant de la mise en service, date d'audit KRITIS annoncée.
Solution
Inventaire des actifs, zones et conduits selon IEC 62443-3-2, durcissement en fenêtres de maintenance, détection des attaques avec les protocoles de contrôle-commande au niveau du SIEM.
Zones séparées en exploitation, détection des attaques avec degré de mise en œuvre prouvé, documents d'audit prêts avant l'échéance.
02 / Secteur de l'énergie
AC subordonnée chez un gestionnaire de points de comptage
Le déploiement des compteurs intelligents est en cours, les certificats proviennent d'un prestataire sans visibilité, les clés de l'AC subordonnée doivent être rapatriées en interne.
Solution
Concept PKI selon BSI TR-03109-4, sélection du HSM, cérémonie des clés journalisée, connexion de l'administration de la passerelle et des acteurs du marché.
AC subordonnée propre avec clés sécurisées par HSM, cycle de vie des certificats consigné dans le manuel d'exploitation, preuves pour la certification SMSI.
03 / Secteur de l'énergie
Prévision d'injection chez une régie municipale
L'injection photovoltaïque dépasse les prévisions issues de tableurs, l'énergie d'ajustement et l'effort de redispatching augmentent, les mesures restent inutilisées dans le système de conduite.
Solution
Plateforme de données avec historique du système de conduite, mesures et données météo, modèles de prévision par poste de distribution locale avec bandes d'incertitude, exploitation des modèles avec rapport de qualité.
Prévisions avec bande d'incertitude pour la conduite du réseau et le périmètre d'équilibre, congestions visibles dès la veille, modèles avec état de version et preuve.
Collaboration
Un parcours clair. Avec votre équipe.
De la première vue d'ensemble à l'exploitation courante : nous convenons ensemble des priorités, des responsabilités et des résultats de chaque étape.
Comment nous travaillons
- 01
Évaluation
Installations, réseaux, interfaces et obligations issues de KRITIS, de NIS2 et du catalogue de sécurité informatique
Inventaire des actifs, inventaire cryptographique, analyse des écarts, liste des mesures priorisées selon leur impact sur l'approvisionnement - 02
Conception
Modèle de zones, architecture PKI, détection des attaques, modèle d'exploitation
Modèle de zones, concept PKI et HSM, concept de détection, modèle d'exploitation, concept d'audit - 03
Réalisation
Segmentation, PKI, accès à distance et plateforme de données en fenêtres de maintenance
Zones séparées, AC subordonnée avec cérémonie journalisée, interfaces testées, documentation, validation par étape - 04
Exploitation
Surveillance, certificats, audits, transfert de connaissances
Détection des attaques en exploitation courante, renouvellement des certificats, accompagnement des audits, transfert progressif
Avant le premier entretien
Vous n'avez pas besoin d'avoir déjà toutes les réponses.
Un défi concret suffit. Ces quatre questions nous aident à trouver ensemble la bonne direction.
Planifier un premier entretien- 01
Qu'est-ce qui doit changer ?
Le défi actuel et le résultat que vous souhaitez atteindre.
- 02
Quels systèmes sont concernés ?
Un aperçu des sites, des applications et des interfaces.
- 03
Qu'est-ce qui définit le cadre ?
Les échéances du projet, les fenêtres de maintenance et les dépendances connues.
- 04
Qui doit être autour de la table ?
Les bons interlocuteurs de l'informatique, de la sécurité et de l'exploitation.
Contexte et aide à la décision
Qu'est-ce que la sécurité informatique pour le secteur de l'énergie ?
Six domaines d'action, du contrôle-commande selon IEC 62443 jusqu'à la cryptographie post-quantique pour les installations à longue durée de vie, planifiés, intégrés et exploités par OTOKO®. Chaque mesure peut être justifiée auprès du BSI, de l'Agence fédérale des réseaux et des auditeurs. L'ensemble de la solution fonctionne dans des centres de données allemands.
La sécurité informatique pour le secteur de l'énergie protège le contrôle-commande, les installations de production et les systèmes de comptage contre les pannes et les attaques, et permet de justifier chaque mesure auprès du BSI et de l'Agence fédérale des réseaux. OTOKO® couvre pour cela six domaines d'action : la conduite des réseaux et les installations selon IEC 62443, la PKI des passerelles de compteurs intelligents et les HSM selon BSI TR-03109, les preuves KRITIS avec un SMSI selon ISO 27019, la télémaintenance et le raccordement des installations décentralisées, la prévision de la charge et de la production avec des plateformes de données, ainsi que la préparation post-quantique pour les installations à longue durée de vie. Les clés et les certificats se trouvent dans des modules de sécurité matériels, ou HSM.
La différence avec un simple projet de conseil réside dans l'exploitation et la preuve. Chaque zone, chaque liaison de télécontrôle et chaque certificat reçoit une documentation, un état de version et les dossiers qu'exigent l'audit KRITIS et le catalogue de sécurité informatique de l'Agence fédérale des réseaux. La cryptographie et les modules de sécurité matériels sont notre cœur de métier. Les clés de la PKI de comptage intelligent et du télécontrôle se trouvent donc dans des appareils certifiés plutôt que dans un logiciel.
Pourquoi OTOKO® pour le secteur de l'énergie
- Cryptographie et HSM
La cryptographie et les modules de sécurité matériels sont notre cœur de métier. Nous planifions et exploitons l'AC subordonnée de la PKI de comptage intelligent, les certificats de télécontrôle et les signatures de micrologiciel dans des appareils certifiés, comme l'exige BSI TR-03109.
- Centres de données allemands
L'ensemble de la solution fonctionne dans des centres de données allemands. Cela vaut pour la PKI, la détection des attaques et la plateforme de données pour les prévisions.
- Infrastructures critiques (KRITIS) et secteurs réglementés
Nous travaillons avec des opérateurs d'infrastructures critiques et des secteurs réglementés. Nous connaissons les attentes du BSI, de l'Agence fédérale des réseaux, des auditeurs et des équipes de sécurité de l'information dans l'approvisionnement en énergie.
- Une équipe jusqu'à l'exploitation
Une même équipe vous accompagne du conseil jusqu'à l'exploitation. Architectes sécurité OT, spécialistes en cryptographie et data engineers restent à bord, sans passage de relais à des tiers.
Cadre et détails
Situation de départ typique avant un projet dans le secteur de l'énergie
La plupart des fournisseurs d'énergie n'échouent pas faute de technologie, mais à cause d'un contrôle-commande historique, de lacunes dans les preuves et des délais imposés par KRITIS et NIS2.
01
Contrôle-commande sans zones
Le système de conduite, le télécontrôle et l'informatique de bureau partagent un même réseau, les postes d'ingénierie accèdent à chaque commande et les règles de pare-feu datent de la mise en service.
02
Certificats sans gestion
Les certificats des passerelles, des équipements de télécontrôle et des boîtiers de commande sont stockés dans des tableurs, les clés de l'AC subordonnée dans un logiciel, et une expiration n'est découverte qu'au moment d'un incident.
03
Détection des attaques sans le contrôle-commande
Le SIEM collecte les événements de l'informatique de bureau, mais pas les protocoles de contrôle-commande IEC 60870-5-104 et IEC 61850, et la notification au BSI repose sur une seule personne.
04
Télémaintenance sans journalisation
Les fabricants et prestataires accèdent aux installations via leurs propres modems et accès VPN, sans autorisation, sans créneau horaire ni enregistrement de session.
Trois modèles d'exploitation
| Sur site | Cloud allemand | Hyperscaler | |
|---|---|---|---|
| Stockage des données | Votre centre de conduite, votre centre de données, vos HSM et votre AC subordonnée | Centres de données en Allemagne, exploités selon ISO 27001 | Azure, AWS ou Google Cloud, région Allemagne sélectionnable |
| Exploitation | Votre équipe ou OTOKO® en tant que service managé | OTOKO®, avec droits d'audit et preuves pour l'audit KRITIS | Partagée, services de plateforme assurés par le fournisseur |
| Outils | Système de conduite, surveillance OT, HSM et PKI en interne, Kafka, Kubernetes | PKI hébergée, HSM as a Service, plateforme de données pour les prévisions | Services de HSM en cloud, services de données et de ML managés |
| Adapté à | Conduite du réseau, télécontrôle, AC subordonnée de la PKI de comptage intelligent | Opérateurs KRITIS ayant besoin de souveraineté et de preuves d'audit | Prévisions, analytique, communication de marché, pics de charge |
| Conformité | Contrôle total, preuves issues de votre SMSI selon ISO 27019 | Sous-traitance au sens du RGPD, contrat KRITIS, hébergement en Allemagne | Sous-traitance, clauses contractuelles types, aucune commande de pilotage depuis le cloud |
Collaboration
Projet
Projet clairement délimité, comme un modèle de zones selon IEC 62443, la mise en place d'une AC subordonnée ou la préparation à l'audit KRITIS, avec résultat défini, jalons et recette.
- Évaluation, conception, réalisation, transfert
- Forfait ou régie, par jalons
- Adapté à la préparation d'audit, à la mise en place d'une PKI et aux projets de segmentation
Renfort d'équipe
Nos architectes sécurité OT, spécialistes en cryptographie ou data engineers travaillent dans vos équipes, avec vos outils et vos processus d'autorisation, si besoin directement dans le centre de conduite.
- Prise en main de vos installations, processus et fenêtres de maintenance
- Adaptable selon l'avancement du projet
- Adapté aux fournisseurs disposant d'une équipe propre et de manques de capacité
Service managé
OTOKO® exploite la détection des attaques, la PKI et le HSM ou la plateforme de données selon des niveaux de service convenus, avec des rapports réguliers et les preuves exigées par les auditeurs KRITIS et l'Agence fédérale des réseaux.
- Surveillance, renouvellement des certificats, mises à jour et support
- Droits d'audit, indicateurs de performance et circuits de notification inscrits au contrat
- Adapté aux fournisseurs sans équipe d'exploitation propre pour la sécurité OT ou la PKI
Normes et preuves
Cinq réglementations qui s'imposent aux gestionnaires de réseau, aux producteurs et aux gestionnaires de points de comptage, avec leurs exigences et ce qu'OTOKO® fournit pour y répondre.
| Référentiel | Exige | OTOKO® fournit |
|---|---|---|
| Loi allemande sur la sécurité informatique 2.0 et KRITIS | État de la technique pour les installations dépassant les seuils du règlement KRITIS, systèmes de détection des attaques, preuve régulière auprès du BSI, notification des perturbations importantes | Classification des installations, détection des attaques pour l'informatique et le contrôle-commande selon le guide d'orientation du BSI, documents d'audit avec degré de mise en œuvre, processus de notification avec modèles |
| NIS2 | Enregistrement, mesures de gestion des risques pour la chaîne d'approvisionnement, la cryptographie et les accès, notification en plusieurs étapes (alerte précoce, notification d'incident, rapport final), responsabilité de la direction | Analyse des écarts par rapport aux mesures, concept de cryptographie et d'accès, processus de notification avec délais et exercices, preuve de formation pour la direction |
| ISO 27019 et catalogue de sécurité informatique | SMSI selon ISO 27001 avec les compléments de l'ISO 27019 pour la conduite de procédé, périmètre conduite du réseau selon l'article 11 de l'EnWG, certification et interlocuteur pour la sécurité informatique | Mise en place ou extension du SMSI avec plan de structure du réseau, analyse des risques et plan d'actions, préparation à la certification et accompagnement de l'audit |
| IEC 62443 | Zones et conduits avec niveaux de sécurité, exigences système pour le contrôle-commande, durcissement des composants, processus de correctifs et de modification pour les systèmes d'automatisation | Modèle de zones avec évaluation des risques, segmentation et durcissement, preuve d'audit par zone, manuel d'exploitation pour les correctifs en fenêtre de maintenance |
| BSI TR-03109 | Passerelles de compteurs intelligents certifiées selon le profil de protection, PKI de comptage intelligent avec AC subordonnées, TLS avec certificats de la PKI, exigences envers l'administrateur de la passerelle et son SMSI | Concept PKI et AC subordonnée avec HSM, profils de certificats et cycle de vie, connexion de l'administration de la passerelle et des acteurs du marché, preuves SMSI |
Questions fréquentes
Bonnes questions. Réponses claires.
15 réponses sur votre secteur, le projet et l'exploitation qui suivra.
Secteur et domaines d'action6 questions
Quels services OTOKO® propose-t-il pour le secteur de l'énergie ?
L'offre comprend le modèle de zones et le durcissement du contrôle-commande selon IEC 62443, la PKI et les HSM pour les passerelles de compteurs intelligents selon BSI TR-03109, les preuves KRITIS avec SMSI selon ISO 27019 et la détection des attaques, la télémaintenance et le raccordement des installations décentralisées, les prévisions de charge et de production, ainsi que la préparation post-quantique. Chaque domaine d'action peut être commandé séparément ou en offre globale, avec exploitation dans des centres de données allemands.
Notre régie municipale est-elle un opérateur KRITIS ou relève-t-elle de NIS2 ?
Le caractère critique d'une installation dépend des seuils du règlement KRITIS par catégorie d'installation, par exemple pour les réseaux électriques, la production, l'approvisionnement en gaz et le chauffage urbain. NIS2 couvre en outre les entreprises de l'énergie selon leur taille et leur secteur, même en dessous de ces seuils. Nous classons vos installations, déduisons les obligations et leurs délais, et déterminons les preuves à produire en premier.
Peut-on ajouter la sécurité à un contrôle-commande existant sans modifier l'installation ?
Oui, c'est le cas habituel. Les anciens systèmes de conduite et équipements de télécontrôle reçoivent rarement des mises à jour, c'est pourquoi nous les protégeons par des zones, des pare-feux industriels en amont, des diodes de données, des accès à distance contrôlés et une surveillance passive du trafic réseau. Ces mesures agissent sans toucher à la configuration validée de l'installation et sont mises en place en fenêtres de maintenance. Nous travaillons avec des opérateurs d'infrastructures critiques et des secteurs réglementés. Cette approche y est habituelle.
Que demande BSI TR-03109 à l'exploitant d'une PKI de passerelles de compteurs intelligents ?
La directive technique prévoit que les passerelles, l'administration de la passerelle et les acteurs du marché ne communiquent que par TLS avec des certificats de la PKI de comptage intelligent. Quiconque exploite une AC subordonnée a besoin d'un enregistrement sous la racine du BSI, de profils de certificats selon TR-03109-4, d'un SMSI selon ISO 27001 et de clés générées et conservées dans un HSM. Nous fournissons le concept PKI, l'intégration du HSM, la cérémonie des clés et les preuves pour la certification.
Comment les modèles de prévision accèdent-ils aux données du système de conduite et des systèmes de comptage sans mettre en danger le contrôle-commande ?
La plateforme de données lit le réseau de procédé via une diode de données ou une passerelle de protocole, mais n'y écrit jamais. Les mesures des passerelles de compteurs intelligents atteignent la plateforme via l'administration de la passerelle, pseudonymisées selon le RGPD et la loi sur l'exploitation des points de comptage. Les modèles fonctionnent en dehors du contrôle-commande, et leurs prévisions parviennent à la conduite du réseau sous forme de proposition, jamais comme une commande de pilotage.
Quand les fournisseurs d'énergie devraient-ils commencer avec la cryptographie post-quantique ?
Maintenant, avec l'inventaire. Les passerelles de compteurs intelligents, les équipements de télécontrôle et les équipements de postes électriques restent en service bien plus longtemps que l'horizon attendu des ordinateurs quantiques puissants, et un remplacement d'équipements dans le réseau demande des années de préparation. L'inventaire montre quelles signatures de micrologiciel, certificats et liaisons doivent être migrés en premier, et la feuille de route relie la transition aux cycles de déploiement et de renouvellement.
Démarrage et mise en œuvre5 questions
Pouvons-nous commencer par un seul domaine d'action ?
Oui. Nous pouvons d'abord délimiter une tâche concrète. Nous examinons alors ses interfaces avec le reste de l'infrastructure et déterminons, avant la mise en œuvre, quels services font partie du mandat.
Que devons-nous préparer pour le premier entretien ?
Une brève description du défi, des systèmes concernés et du résultat souhaité suffit pour commencer. Les échéances connues et les bons interlocuteurs sont également utiles. Les identifiants d'accès ou la documentation système confidentielle n'ont pas leur place dans une première demande de contact.
Qui devrait participer au projet ?
Architecte sécurité OT: Modèle de zones, durcissement, détection des attaques pour le contrôle-commande. Spécialiste en cryptographie: PKI de comptage intelligent, intégration HSM, feuille de route PQC. Développeur d'intégration: Interfaces vers les installations, accès à distance, diodes de données. Data engineer: Plateforme de données, modèles de prévision, exploitation des modèles. Consultant conformité: KRITIS, NIS2, catalogue de sécurité informatique, documents d'audit. Chef de projet: Jalons, fenêtres de maintenance, recettes, rapports.
Comment le calendrier et l'effort sont-ils déterminés ?
Nous examinons les systèmes, les interfaces, l'état de la documentation et les contraintes d'exploitation. Un périmètre convenu et des jalons constituent la base de l'estimation de l'effort. Une durée fixe sans ces éléments ne serait pas fiable.
Que livre la première phase du projet ?
Installations, réseaux, interfaces et obligations issues de KRITIS, de NIS2 et du catalogue de sécurité informatique Inventaire des actifs, inventaire cryptographique, analyse des écarts, liste des mesures priorisées selon leur impact sur l'approvisionnement
Exploitation et évolution4 questions
Quelles formes de collaboration sont possibles ?
Projet: Projet clairement délimité, comme un modèle de zones selon IEC 62443, la mise en place d'une AC subordonnée ou la préparation à l'audit KRITIS, avec résultat défini, jalons et recette. Renfort d'équipe: Nos architectes sécurité OT, spécialistes en cryptographie ou data engineers travaillent dans vos équipes, avec vos outils et vos processus d'autorisation, si besoin directement dans le centre de conduite. Service managé: OTOKO® exploite la détection des attaques, la PKI et le HSM ou la plateforme de données selon des niveaux de service convenus, avec des rapports réguliers et les preuves exigées par les auditeurs KRITIS et l'Agence fédérale des réseaux.
Comment se déroule le transfert vers l'exploitation ?
Surveillance, certificats, audits, transfert de connaissances Détection des attaques en exploitation courante, renouvellement des certificats, accompagnement des audits, transfert progressif
Pouvons-nous ajouter d'autres sites ou systèmes par la suite ?
Cela peut être pris en compte dès le premier concept. Des interfaces documentées et des règles réutilisables posent les bases de cette extension. Chaque site supplémentaire et chaque nouveau système sont néanmoins examinés au regard de leurs exigences propres.
Comment la solution reste-t-elle exploitable à long terme ?
Les responsabilités, les tâches récurrentes et les processus de gestion des changements sont définis en même temps que la mise en œuvre technique. La documentation et le transfert de connaissances aident votre équipe au quotidien. Les activités et le support continu inclus sont convenus dans le périmètre des prestations.
Secteur de l'énergie
Discutons ensemble de la prochaine étape.
Examinons ensemble où vos réseaux et installations sont aujourd'hui vulnérables et quelles mesures agissent en premier.
Planifier un premier entretien
